As fraudes com códigos QR estão a crescer em Portugal de forma preocupante. Entre dezembro de 2025 e maio deste ano, esta técnica de fraude conhecida como quishing já ocupava o sétimo lugar entre as ameaças mais detetadas por email no país, pesando quase 5% do total. A dimensão do problema levou a ESET a emitir um alerta dirigido tanto a utilizadores individuais como a empresas.
A popularidade dos códigos QR transformou-os numa ferramenta prática para pagamentos rápidos, acesso a documentos ou consulta de menus em restaurantes. Mas essa mesma popularidade tornou-os também num alvo apetecível para quem procura roubar dados bancários ou credenciais de acesso.
O problema é maior do que parece
Se olharmos para os números globais, a dimensão da ameaça torna-se ainda mais clara. A ESET detetou que um em cada dez emails de phishing à escala mundial já utiliza códigos QR para esconder o destino real da ligação cerca de 100 mil deteções mensais. O pico aconteceu em abril deste ano, marcando o registo mais elevado desde que a empresa começou a monitorizar o quishing de forma independente, no arranque do último trimestre de 2025.
Portugal não escapa à tendência. Quase 5% de todas as ameaças recebidas por email no país entre o início do inverno passado e o final da primavera já vinham disfarçadas num quadradinho preto e branco aparentemente inofensivo.
Como funciona o ataque
O esquema é simples, mas eficaz. Em vez de incluir uma ligação direta no corpo do email que pode ser facilmente detetada por filtros de segurança , o criminoso insere um código QR. A mensagem vem habitualmente mascarada como comunicação oficial de uma empresa conhecida, do departamento de recursos humanos ou de um serviço amplamente utilizado, tipo DocuSign.
O utilizador recebe uma mensagem que pede para digitalizar o código com o telemóvel, alegando que precisa de validar dados, assinar um documento urgente ou consultar informação sobre alterações salariais ou benefícios. Ao ler o código QR, é redirecionado para um site fraudulento que replica uma plataforma legítima e aí entrega, sem perceber, as suas credenciais de acesso ou dados bancários.
Ricardo Neves, responsável de Comunicação da ESET Portugal, explica o que torna esta técnica particularmente perigosa: o ataque consegue mudar de dispositivo a meio do processo. O email pode ser recebido num computador protegido por software de segurança empresarial, mas ao digitalizar o código QR, toda a operação passa para o telemóvel que raramente beneficia das mesmas camadas de proteção.
Não acontece só no email
A ESET identificou também campanhas de quishing no espaço público. Criminosos têm colado códigos QR falsos por cima dos legítimos em parquímetros, sistemas de bicicletas e trotinetes partilhadas, e noutros pontos de pagamento. Foram ainda detetadas falsas multas de estacionamento e notificações fraudulentas relacionadas com portagens, todas a redirecionar para páginas desenhadas para roubar informação bancária.
Como evitar cair na fraude
A primeira regra é tratar qualquer código QR recebido por email ou encontrado na rua com o mesmo nível de desconfiança que terias perante uma ligação suspeita. Pergunta-te sempre se estavas à espera daquela mensagem, verifica com atenção o remetente e desconfia de qualquer comunicação que crie um sentido artificial de urgência.
Evita fornecer credenciais ou dados bancários imediatamente após digitalizar um código QR sem confirmares primeiro que o site é legítimo. Um truque simples: antes de inserires qualquer informação sensível, fecha a página e tenta aceder ao serviço pelo caminho normal através da aplicação oficial ou do site que conheces.
Para as empresas, a ESET recomenda investir em soluções de segurança capazes de analisar ligações escondidas dentro de códigos QR, reforçar a proteção dos dispositivos móveis dos colaboradores e promover formação regular sobre este tipo de ameaça. Com o quishing a ganhar terreno tanto em Portugal como no resto do mundo, é uma questão que merece atenção séria.
Via: jornaleconomico
